Acest raport analizează impactul asupra drepturilor la viața privată și confidențialitatea datelor cu caracter personal a măsurilor luate pentru a preveni răspândirea pandemiei COVID-19 în cele 55 de țări africane, latino-americane și europene, părți la Convenția 108. Acesta include o analiză aprofundată și revizuirea tehnică a utilizării aplicațiilor de urmărire a contactelor digitale și a instrumentelor de monitorizare, identifică o serie de neajunsuri în unele dintre măsurile legale și tehnice adoptate și solicită guvernelor să asigure, în special, transparența soluțiilor digitale pentru a asigura respectarea drepturilor la viața privată și confidențialitatea datelor cu caracter personal.

Raportul privind protecția datelor cu caracter personal pentru 2020 „Soluții digitale pentru combaterea COVID-19” poate fi vizualizat prin accesarea următorului link:

https://rm.coe.int/report-dp-2020-en/16809fe49c

În ultima perioadă, în adresa Centrului Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova (CNPDCP) parvin multiple adresări prin care se solicită opinia autorității în legătură cu înregistrarea și transmiterea în direct prin intermediul internetului a ședințelor consiliilor locale.

Analizând subiectul abordat, urmează a se nota, că prin publicarea pe internet a ședințelor consiliilor locale, se va oferi acces la anumite informații care sunt puse în discuție în cadrul ședințelor, nu doar părților interesate din localitatea respectivă, dar unui număr nelimitat de persoane.

Atragem atenția că problematica discutată în cadrul ședințelor nu se referă doar la activități privind organizarea administrativă a localității, dar și cazuri/spețe individuale care vizează persoane fizice concrete, care pot dezvălui anumite aspecte ale vieții private, cum ar fi situația materială sau categorii speciale de date, spre exemplu privind starea de sănătate.

În acest sens, aducem în vizor următoarele noțiuni și prevederi ale Legii nr. 133 din 08 iulie 2011 privind protecția datelor cu caracter personal şi anume:

–         operator – persoana fizică sau persoana juridică de drept public sau de drept privat, inclusiv autoritatea publică, orice altă instituție ori organizație care, în mod individual sau împreună cu altele, stabilește scopurile şi mijloacele de prelucrare a datelor cu caracter personal prevăzute în mod expres de legislația în vigoare;

–         prelucrarea datelor cu caracter personal – orice operaţiune sau serie de operaţiuni care se efectuează asupra datelor cu caracter personal prin mijloace automatizate sau neautomatizate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, păstrarea, restabilirea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminare sau în orice alt mod, alăturarea ori combinarea, blocarea, ştergerea sau distrugerea;

–       sistem de evidenţă a datelor cu caracter personal – orice serie structurată de date cu caracter personal accesibile conform unor criterii specifice, fie că este centralizată, descentralizată ori repartizată după criterii funcţionale sau geografice;

–         date cu caracter personal – orice informaţie referitoare la o persoană fizică identificată sau identificabilă (subiect al datelor cu caracter personal). Persoana identificabilă este persoana care poate fi identificată, direct sau indirect, prin referire la un număr de identificare sau la unul ori mai multe elemente specifice identităţii sale fizice, fiziologice, psihice, economice, culturale sau sociale.

Potrivit prevederilor art. 4 al Legii privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie:

– prelucrate în mod corect şi conform prevederilor legii;

– colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;

– adecvate, pertinente şi neexcesive în ceea ce privește scopul pentru care sunt colectate şi/sau prelucrate ulterior.

În conformitate cu prevederile art. 5 alin. (1) al Legii privind protecția datelor cu caracter personal, operațiunile de prelucrare a datelor cu caracter personal se efectuează cu consimțământul subiectului datelor cu caracter personal.

Totodată, consimțământul subiectului datelor cu caracter personal nu este cerut în cazurile prevăzute exhaustiv de art. 5 alin. (5) al aceluiași act legislativ, spre exemplu, pentru îndeplinirea unei obligaţii care îi revine operatorului conform legii ori executarea sarcinilor de interes public sau care rezultă din exercitarea prerogativelor de autoritate publică cu care este învestit operatorul sau terțul căruia îi sunt dezvăluite datele cu caracter personal.

Nu în ultimul rând, urmează a menționa că deciziile cu caracter individual, ar putea să conțină categorii speciale de date cu caracter personal care dezvăluie apartenența socială a persoanelor, datele privind starea de sănătate etc. Prelucrarea acestor categorii de date urmează a fi efectuată în strictă conformitate cu prevederile art. 6-8 ale Legii nr. 133/2011, având la bază cerința asigurării nivelului sporit de protecție din motivul prezenței unor riscuri speciale pentru inviolabilitatea dreptului la viață intimă, familială și privată.

În continuare, remarcăm prevederile art. 17 alin. (1) al Legii nr. 436-XVI din 28 decembrie 2006 privind administrația publică locală, potrivit cărora ședințele consiliului local sunt publice. Alin. (2) al aceluiași articol, menționează că orice persoană interesată poate asista la ședințele consiliului local.

Suplimentar, alin. (3) al aceluiași act normativ, prevede că cetățenii, asociațiile constituite în corespundere cu legea şi alte părţi interesate au dreptul:

a) de a participa, în condiţiile legii, la orice etapă a procesului decizional;

b) de a avea acces la informațiile privind bugetul localității şi modul de utilizare a resurselor bugetare, la proiectele de decizii şi la ordinea de zi a ședințelor consiliului local şi ale primăriei;

c) de a propune inițierea elaborării şi adoptării unor decizii;

d) de a prezenta autorităților publice locale recomandări, în nume propriu sau în numele unor grupuri de locuitori ai colectivităților respective, privind diverse proiecte de decizie supuse dezbaterilor.

În acest sens, remarcăm că actul normativ prenotat nu instituie dreptul cetățenilor, asociațiilor şi altor părţi interesate de a înregistra și plasa ședințele consiliilor locale în spațiul on-line, ci oferă oportunitatea persoanelor interesate de a participa în procesul decizional.

Totodată, potrivit alin. (1), art. 3 din Legea privind statutul alesului local nr. 768-XIV din 02 februarie 2000, în unitatea administrativ-teritorială respectivă, alesul local este persoană oficială, el fiind reprezentantul autorității deliberative sau executive din administrația publică locală.

Subliniem că, în contextul art. 11 al Legii cu privire la libertatea de exprimare, informația despre viața privată şi de familie a persoanei publice sau celei ce exercită o funcție publică, poate fi dezvăluită doar dacă prezintă un interes public (interes al societății şi nu simpla curiozitate a indivizilor față de evenimentele ce țin de exercitarea puterii publice într-un stat democratic sau față de alte probleme care, în mod normal, nu trezesc interesul societății sau al unei părți a ei).

Chiar și potrivit raționamentelor CEDO, persoanele publice trebuie să accepte anumite ingerințe în viața lor privată în mai mare măsură decât persoanele obișnuite și gradul accesibil de cercetare mai atentă urmează să fie cu atât mai mare cu cât figura publică în cauză şi informația ce se dezvăluie sunt mai importante. Elementul care trezește interesul public poate fi statutul persoanei (mandatul consilierului local) sau orice alte circumstanțe legate de exercitarea mandatului alesului local.

Astfel, anumite informații, inclusiv datele cu caracter personal ce vizează un ales local ar putea deveni informații de interes public în măsură în care nu afectează capacitatea de exercitare a funcției publice de persoana dată, ținându-se cont de existența dreptului la respectarea vieții sale private şi de familie.

Pornind de la raționamentele menționate supra, ținând cont de sarcinile de interes public sau care rezultă din exercitarea prerogativelor de autoritate publică cu care este învestit operatorul (Consiliul local, Primăria), ultimul urmează să analizeze prin prisma normelor menționate supra și să reglementeze clar, printr-un act normativ, ce subiecte urmează a fi plasate public, ce categorii de date cu caracter personal vor fi dezvăluite în acest sens, modalitatea de informare a subiecților de date cu caracter personal despre plasarea în spațiul internet a ședințelor, oferirea posibilității realizării dreptului de opoziție, asigurarea măsurilor de securitate și confidențialitate a datelor cu caracter personal, stabilirea unui termen concret pentru care informațiile vor fi lăsate publice, mecanismul de ștergere a acestor înregistrări etc. Respectiv, acesta trebuie să stabilească clar care ședințe urmează a fi înregistrate și ulterior plasate în spațiul public, cine sunt persoanele desemnate/autorizate pentru înregistrarea ședințelor și difuzarea acestora în spațiul public, în condițiile legale.

Totodată, având în vedere că operatorul de date cu caracter personal (Consiliul local/Primăria) stabilește scopul și mijloacele prelucrării datelor cu caracter personal, de asemenea este responsabil și răspunde pentru orice prelucrare a datelor cu caracter personal efectuată, doar acestuia îi revine dreptul de a decide asupra posibilității furnizării datelor cu caracter personal spre acces public.

ANUNȚ

În atenția operatorilor de date cu caracter personal

Centrul Naţional pentru Protecţia Datelor cu Caracter Personal al Republicii Moldova (CNPDCP), informează că începând cu data de 28 septembrie 2020, întâmpină deficiențe de ordin tehnic în partea ce ține de emiterea/semnarea deciziilor automatizate privind înregistrarea sau refuzul înregistrării sistemelor de evidență a datelor cu caracter personal, fapt care, inerent, poate duce la prelungirea termenului de emitere a deciziilor menționate supra.

În context menționăm că, în comun cu entitatea responsabilă de funcționarea/mentenanța RODCAP, se depun eforturi consolidate în vederea soluționării în termeni proximi a deficienței apărute.

Ne cerem scuze pentru inconveniențe și Vă mulțumim pentru înțelegere.

Centrul Național pentru Protecția Datelor cu Caracter Personal informează în legătură cu aplicarea unei amenzi companiei H&M din Nurnberg în cuantum de 35,3 milioane euro pentru supravegherea ilegală a câtorva sute de angajați, de către autoritatea germană de protecție a datelor, care a constatat că firma avea evidențe „excesive” legate de familiile, religiile și bolile angajaților centrului de servicii de la Nürnberg https://stiri.md/article/international/handamp-m-amendata-cu-35-000-000-euro-colecta-date-personale-despre-angajati  .

Cu titlu de retrospectivă, aceasta este a doua cea mai mare amendă cu care s-a confruntat o singură companie pentru încălcarea normelor GDPR din UE. Anul precedent, autoritatea franceză de reglementare a datelor, CNIL, a amendat Google cu 50 de milioane de euro pentru încălcarea Regulamentului general privind protecția datelor.

Încălcările de confidențialitate ale H&M au inclus anchete extinse ale personalului, cu detalii despre sărbători, simptome medicale și diagnostice pentru boli, a arătat ancheta efectuată de Autoritatea pentru Protecția Datelor din Hamburg (HmbBfDI) timp de un an.

Unii manageri au căutat și alte detalii private în discuțiile informale, inclusiv probleme de familie sau credințe religioase, care au fost apoi stocate și utilizate pentru a evalua performanța muncii și a lua decizii de angajare.

CNPDCP, în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legii.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și  aplicativ, comunică despre faptul că, în contextul deciziei Curții de Justiție a Uniunii Europene în cazul „Schrems II”, Alessandra Pierucci, Președinte al Comitetului Convenției 108 și Jean-Philippe Walter, Comisarul pentru protecția datelor din cadrul Consiliului Europei au publicat o Declarație comună prin care reamintesc relevanța și influența Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal (Convenția 108+) în contextul fluxurilor internaționale de date cu caracter personal.

Astfel, la 16 iulie 2020, Curtea de Justiție a Uniunii Europene a declarat nevalidă Decizia 2016/1250 privind nivelul adecvat al protecției datelor oferite de Scutul de confidențialitate UE-SUA. Motivul principal pentru această hotărâre este că legislația americană nu poate garanta un nivel adecvat al protecției datelor cu caracter personal transferate din UE, în special în ceea ce privește accesul serviciilor americane de informații la aceste date.

Reprezentanții Consiliului Europei menționează faptul că, de ani de zile, un număr tot mai mare de persoane solicită supravegherea democratică și eficientă a serviciilor de securitate și informații din întreaga lume pentru a putea asigura o mai bună protecție a drepturilor și libertăților fundamentale ale oamenilor.

Principiile Convenției 108+, precum și puținele excepții pe care le permite, în special în contextul securității și al informațiilor, sunt elemente puternice pentru a răspunde preocupărilor exprimate de către  Edward Snowden. Președintele Comitetului Convenției 108 și Comisarul pentru protecția datelor din cadrul Consiliului Europei consideră, de asemenea, că mandatul unic al Consiliului Europei, experiența sa în ceea ce privește drepturile omului, democrația și statul de drept, precum și deschiderea acestuia dincolo de hotarele europene (cu unele dintre instrumentele sale de referință, cum ar fi Convenția 108 și Convenția de la Budapesta), fac din Organizație un forum ideal pentru a realiza lucrări de cercetare la nivel internațional privind problema delicată a serviciilor naționale de securitate.

Declarația comună a Președintelui Comitetului Convenției 108 și Comisarului pentru protecția datelor din cadrul Consiliului Europei poate fi vizualizată accesînd următorul link: https://www.coe.int/en/web/data-protection/-/to-better-protect-us-when-our-personal-data-falls-into-the-intelligence-trap-

A N U N Ţ

Centrul Naţional pentru Protecţia Datelor cu Caracter Personal anunţă despre reluarea concursurilor privind ocuparea funcţiilor publice vacante, suspendate din 13 iunie 2020, în legătură cu declararea stării de urgență în sanatate publică.

În acest context, candidații admiși la concursul pentru funcțiile de Șef Serviciu informare, comunicare cu mass-media și e-Transformare și Consultant în Serviciul resurse umane,  vor fi informați suplimentar despre data petrecerii probei scrise, iar pentru funcția publică de Auditor intern se stabilește perioada de depunere a dosarelor de concurs – de la 15 septembrie 2020 până la 04 octombrie 2020, inclusiv.

Comisia de concurs

Accesările noului site web pentru perioada mai-iulie 2020

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) informează că, noua pagină web, de la lansarea sa și până în prezent a adunat peste 26418 de vizitatori unici.

Noua pagină a CNPDCP www.datepersonale.md a fost creată cu suportul proiectului UE Twinning „Consolidarea capacităților Centrului Național pentru Protecția Datelor cu Caracter Personal” și lansată la 31 ianuarie 2020. Aceasta are menirea de a promova o comunicare mai interactivă cu vizitatorii săi, precum și menirea de a eficientiza procesul de căutare a celor mai importante informații aferente domeniului protecției datelor cu caracter personal.

Astfel, de la lansarea acesteia și până în prezent – peste 26418 de utilizatori unici au accesat informațiile de pe noua pagină web, fapt ce denotă un interes sporit din partea vizitatorilor față de domeniul protecției datelor cu caracter personal.

Lunar, noua pagină web, a înregistrat un număr de până la 5554 de vizitatori unici și anume:

·        Pe parcursul lunii mai pagina web a fost vizualizată de 4401 de vizitatori unici;

·        Pe parcursul lunii iunie pagina web a fost vizualizată de 4842 de vizitatori unici;

·        Pe parcursul lunii iulie, pagina web a fost vizualizată de 5554 de vizitatori unici.

Cele mai vizualizate articole rămân a fi Buletinele informative ale activității CNPDCP precum și aspectele ce vizează conformarea diferitor instituții la prevederile legislației din domeniul protecției datelor.

Precizăm că o parte din informații pot fi vizualizate pe pagina web anterioară, accesând link-ul old.datepersonale.md

ANUNȚ

Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova Vă informează că, în luna august 2020, o parte din angajații Direcției prevenire, supraveghere și evidență, spre regret, au fost testați pozitiv cu noul tip de coronavirus, fapt care generează dificultăți în realizarea sarcinilor legate de examinarea notificărilor depuse/recepționate la Ghişeul unic al Centrului Naţional pentru Protecţia Datelor cu Caracter Personal în perioada sfîrșitul lunii iunie – august 2020. Reieșind din aceste circumstanțe, în conformitate cu prevederile art. 20 alin. (1) lit. f) și h), art. 24 alin. (4) ale Legii privind protecția datelor cu caracter personal, termenul de examinare a notificărilor depuse se prelungește cu 45 de zile.

Operatorii de date cu caracter personal vizați vor fi informați inclusiv prin intermediul înștiințărilor generate de Registrul de evidenţă al operatorilor de date cu caracter personal.

Ne cerem scuze pentru inconveniențe și Vă mulțumim pentru înțelegere.

Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova (CNPDCP) anunță despre inițierea consultărilor publice, începând cu data de 27 iulie 2020, asupra proiectului de Decizie privind stabilirea cazurilor de prelucrare a datelor cu caracter personal în care nu este necesară notificarea.

În conformitate cu Regulamentul Centrului Naţional pentru Protecţia Datelor cu Caracter Personal, structurii, efectivului-limită şi a modului de finanţare a Centrului Naţional pentru Protecţia Datelor cu Caracter Personal, aprobat prin Legea nr.182/2008, Centrul Naţional pentru Protecţia Datelor cu Caracter Personal, este o autoritate publică autonomă, independentă şi imparțială față de alte autorități publice, persoane fizice şi juridice, care îşi exercită atribuțiile ce îi sunt date în competență prin Legea privind protecţia datelor cu caracter personal.

Reliefăm, că potrivit art. 1 din Legea nr. 133/2011 privind protecția datelor cu caracter personal, scopul actului normativ menționat este asigurarea protecţiei drepturilor şi libertăţilor fundamentale ale persoanei fizice în ceea ce priveşte prelucrarea datelor cu caracter personal, în special a dreptului la inviolabilitatea vieţii intime, familiale şi private.

În acest sens, prin prismsa  a prevederilor statuate în legea menționată, Centrul Naţional pentru Protecţia Datelor cu Caracter Personal (CNPDCP) monitorizează respectarea legislației în domeniu și verifică conformitatea prelucrării datelor cu caracter personal în corespundere cu cerințele legii.

Ținînd cont de competențele și atribuțiile acordate prin actele normative precitate, reieșind din necesitatea stringentă de a consolida capacitățile sale operaționale și funcționale, CNPDCP pune în vizor următoarele prevederi:

Potrivit art. 20 alin. (1) lit. b) din Legea privind protecția datelor cu caracter personal, CNPDCP autorizează prelucrările de date cu caracter personal în cazurile prevăzute de lege;

În conformitate cu normele stipulate la art. 23 alin. (5) din Legea privind protecția datelor cu caracter personal, notificarea nu este necesară în cazul în care prelucrarea are ca scop ținerea unui registru destinat informării publicului larg şi deschis spre consultare publicului sau oricărei persoane care probează un interes legitim, cu condiția ca prelucrarea să se limiteze la datele necesare ținerii registrului menționat;

În acord cu prevederile art. 23 alin. (6) din Legea privind protecția datelor cu caracter personal, CNPDCP poate stabili şi alte situații în care notificarea nu este necesară;

Art. 24 alin. (2) din Legea nr. 133/2011 privind protecția datelor cu caracter personal stabilește categoriile de operațiuni de prelucrare a datelor cu caracter personal care prezintă riscuri speciale pentru drepturile şi libertățile persoanelor;

În aceiași ordine de idei urmează a fi remarcată practica altor state.

Astfel, prin Decizia nr. 200 din 14 decembrie 2015, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal din România a stabilit cazurile de prelucrare a datelor cu caracter personal pentru care nu este necesară notificarea.

  În anul 2016, Parlamentul European și Consiliul a adoptat pachetul de reformă legislativă privind protecția datelor cu caracter personal, publicat în Jurnalul Oficial al Uniunii Europene pe data de 4 mai 2016, cu intrarea în vigoare începând cu 25 mai 2018. Se notează că pachetul legislativ menționat, vine cu o serie de modificări pe dimensiunea protecției datelor cu caracter personal, precum și exclude necesitatea notificării sistemelor de evidenta gestionate de către operatorii de date cu caracter personal.

Având în vedere raționamentele menționate supra CNPDCP a elaborat proiectul Deciziei privind stabilirea cazurilor de prelucrare a datelor cu caracter personal în care nu este necesară notificarea.

Documentul integral poate fi vizualizat pe pagina web a CNPDCP, în compartimentul Transparență decizională, accesând link-ul https://datepersonale.md/wp-content/uploads/2020/07/DECIZIE-scutire.pdf

Termenul limită pentru expunere – 10 august 2020

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și  aplicativ, comunică despre Decizia Curții de Justiție a Uniunii Europene prin care se declară nevalidă Decizia 2016/1250 privind caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA, totodată menționând că Decizia 2010/87 a Comisiei privind clauzele contractuale tip pentru transferul de date cu caracter personal către persoanele împuternicite de către operator, stabilite în țări terțe, este validă.

Decizia a fost luată urmare a plângerii depuse de către un  resortisant austriac cu reședința în Austria, utilizator al Facebook din anul 2008. La fel ca în cazul celorlalți utilizatori cu reședința în UE, datele cu caracter personal ale acestuia sunt, în tot sau în parte, transferate de Facebook către servere situate pe teritoriul Statelor Unite ale Americii, unde fac obiectul unei prelucrări. Petentul susține că dreptul și practicile SUA nu oferă o protecție suficientă împotriva accesului autorităților publice la datele transferate către această țară.

Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE  prevede că transferul unor astfel de date către o țară terță, în principiu, se poate realiza numai dacă țara terță în cauză asigură un nivel de protecție adecvat în privința acestor date sau stabileşte condițiile în care se poate realiza un astfel de transfer în absența unei decizii privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate.

În cazul petentului, potrivit Curții, limitările protecției datelor cu caracter personal care decurg din reglementarea internă a SUA privind accesul și utilizarea de către autoritățile publice americane a unor astfel de date transferate din UE către această țară terță și pe care Comisia le-a evaluat în Decizia 2016/1250 nu sunt circumscrise astfel încât să îndeplinească cerințe în esență echivalente cu cele prevăzute în dreptul UE, de principiul proporționalității, în sensul că programele de supraveghere întemeiate pe această reglementare nu sunt limitate la strictul necesar. Totodată, mecanismul de tip Ombudsman prevăzut de decizia menționată nu furnizează acestor persoane o cale de atac în fața unui organ care oferă garanții în esență echivalente cu cele impuse de dreptul UE de natură să asigure atât independența Ombudsmanului prevăzut de acest mecanism, cât și existența unor norme care să abiliteze Ombudsmanul menționat să adopte decizii obligatorii în privința serviciilor americane de informații.

Pentru toate aceste motive, Curtea declară nevalidă Decizia 2016/1250.

Decizia integrală a Curții de Justiție a Uniunii Europene prin care se declară nevalidă Decizia 2016/1250 privind caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA, o puteți găsi accesând următorul link:

https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091ro.pdf